Die BaFin warnt in ihrer eigenen Unternehmensdatenbank vor einem Trick, den die wenigsten auf dem Schirm haben: „Betrüger könnten offizielle Daten von registrierten Unternehmen aus der Unternehmensdatenbank der Bafin nutzen, um das Vertrauen der Öffentlichkeit zu erschleichen.” Name, Anschrift und BaFin-ID stimmen dann tatsächlich — Website, E-Mail und Bankkonto gehören aber jemand anderem.
Daraus folgen zwei Dinge. Ein PDF mit Stempel, ein Screenshot oder eine Lizenznummer in der Fußzeile beweisen nichts, weil sich all das herstellen lässt. Und selbst ein echter Eintrag reicht nicht aus. Entscheidend ist, was in ihm steht.
Diese Anleitung zeigt beides: wie Sie den Eintrag in wenigen Minuten selbst finden und wie Sie ihn lesen. Am Lesen scheitern die meisten. Sie finden die Firma, hören auf — und übersehen die Spalte, in der die Erlaubnis längst beendet wurde.
Zuerst klären, mit wem Sie den Vertrag schließen
Bevor Sie überhaupt suchen, brauchen Sie den exakten Namen der juristischen Person. Nicht die Marke aus der Werbung, sondern die Firma aus dem Kundenvertrag, samt Sitz und Rechtsform.
Das klingt nach Formalie, ist aber die häufigste Fehlerquelle. Größere Gruppen führen mehrere Gesellschaften: Mit der einen wirbt das Marketing, bei der anderen liegt am Ende Ihr Konto. Wer die Marke statt der Gesellschaft sucht, findet entweder nichts oder die falsche Firma.
Die Unternehmensdatenbank der BaFin Schritt für Schritt
Das amtliche Verzeichnis ist die Unternehmensdatenbank der BaFin. Links liegt der Bereich „Suche”, direkt unter der Überschrift steht die Zeile „Stand der Daten:” mit dem Datum des letzten Abgleichs. Die Daten werden täglich aktualisiert.
- Im Feld „Unternehmen:” den Firmennamen eintragen. Teile des Namens funktionieren ebenfalls, ein Sternchen dient als Platzhalter. „Bafin-ID:”, „Bak Nr:” und „Reg Nr:” bleiben leer — eine vom Broker genannte Lizenznummer prüfen Sie, indem Sie sie ins Feld „Bafin-ID:” eintragen.
- Das Auswahlfeld „Kategorie:” leer lassen oder eingrenzen: „Wertpapierinstitute (BA)” für Wertpapierfirmen, „Grenzüberschreitende Dienstleister” für Anbieter aus dem EWR ohne deutsche Niederlassung, „Kryptowerte-Dienstleister” für Krypto-Anbieter nach MiCA. Dann auf „Suche” klicken.
- Es erscheint die Tabelle „Auswahl Unternehmen” mit den Spalten „Unternehmen | Gattung | Schlichtungsstelle”. Zu einem Namen laufen oft mehrere Zeilen auf, etwa eine ausländische Gesellschaft und daneben deren deutsche Zweigniederlassung. Maßgeblich ist die Gesellschaft aus Ihrem Vertrag.
- Auf den Firmennamen klicken. Die Detailseite zeigt „Gattung:”, die Anschrift, „Bafin-ID:”, „Bak Nr.:”, „Reg Nr.:” und vor allem die Tabelle „Erlaubnisse/Zulassung/Tätigkeiten | Erteilungsdatum | Ende am | Endegrund”.
Drei Angaben müssen gleichzeitig stimmen
Die Gattung. Sie sagt, um was für einen Rechtsträger es sich handelt. Für Wertpapierdienstleistungen kommen unter anderem „Wertpapierinstitut” nach WpIG, „Kreditinstitut” beziehungsweise „CRR-Kreditinstitut” nach KWG, „Finanzdienstleistungsinstitut (BA)” sowie „Kryptowertedienstleister” und „Kryptoverwahrer” in Betracht.
Eine „Repräsentanz” ist dagegen keine Lizenz. Eine solche Vertretung darf Kontakt- und Marketingarbeit leisten, aber keine Wertpapierdienstleistungen erbringen. Ebenso wenig zählt ein Eintrag im Handelsregister: Er belegt nur, dass die Firma existiert, nicht dass sie eine Erlaubnis hat.
Die Erlaubnisse. Die Tabelle listet zeilenweise einzelne Tätigkeiten mit Paragrafenangabe und „Erteilungsdatum” auf, etwa „Anlagevermittlung (§ 2 Abs. 2 Nr. 3 WpIG)”, „Abschlussvermittlung (§ 2 Abs. 2 Nr. 5 WpIG)”, „Anlageberatung”, „Finanzkommissionsgeschäft”, „Eigenhandel” oder „Depotgeschäft”. Genau die Dienstleistung, die man Ihnen verkauft, muss dort auftauchen.
Ende am und Endegrund. Sind beide Felder einer Zeile leer, läuft diese Erlaubnis. Stehen dort ein Datum und ein Grund, ist sie beendet — bei größeren Häusern ist die Hälfte der Zeilen historisch. Eine Ausnahme: „Endegrund: Inkrafttreten Wertpapierinstitutsgesetz (WpIG)” zum 25. Juni 2021 war nur die technische Überführung alter KWG-Erlaubnisse. Dann muss aber eine neue, laufende Zeile existieren.
Bei nach MiFID notifizierten Firmen folgt unter der Tabelle der Block „NOTIFIKATION (MiFID)” mit einer Matrix aus Codes. Ein angehaktes Kästchen bedeutet, dass die Dienstleistung oder Instrumentenklasse notifiziert ist, ein leeres bedeutet das Gegenteil. Was die einzelnen Codes heißen, erklärt die Seite selbst nicht mehr.
Wenn die Lizenz aus einem anderen EWR-Staat kommt
Ein Broker mit Erlaubnis aus Zypern, Irland, Polen oder Estland braucht keine deutsche Lizenz. Er arbeitet über den europäischen Pass nach MiFID II, im deutschen Recht über die §§ 73 und 74 Wertpapierinstitutsgesetz. Die BaFin trägt solche Firmen nach Meldung der Heimataufsicht in dieselbe Datenbank ein.
In der Gattung erkennen Sie den Unterschied: „Grenzüberschreitender Dienstleister (WpI) gem. § 74 WpIG” heißt Dienstleistung aus dem Ausland ohne deutsche Niederlassung, „Zweigniederlassung (WpI) gem. § 73 WpIG” heißt Niederlassung in Deutschland. Für Banken gelten die Kategorien „EWR-Kreditinstitute (BA)” und „Zweigstellen/-niederlassungen (BA)”.
Unter der Gattung erscheint bei diesen Firmen ein gelb-roter Kasten „Wichtiger Hinweis” mit dem Satz: „Das von Ihnen aufgerufene Unternehmen wird nicht von der Bafin beaufsichtigt.” Die BaFin veröffentlicht dort nur, was ihr die Heimataufsicht übermittelt hat, und empfiehlt ausdrücklich, zusätzlich das Register der zuständigen Behörde des Herkunftslandes zu konsultieren.
Praktisch heißt das: Der Eintrag belegt, dass eine Notifizierung eingegangen ist. Ob die Erlaubnis heute noch gilt, ob Geschäftsbeschränkungen bestehen oder Sanktionen verhängt wurden, steht im Register des Heimatlandes. Auch eine Beschwerde bearbeitet nicht die BaFin, sondern die dortige Aufsicht.
Vertraglich gebundene Vermittler sind keine lizenzierten Häuser
Finden Sie die Firma nicht in der Unternehmensdatenbank, behauptet sie aber, „unter der Lizenz” einer Bank tätig zu sein, führt der Weg ins Register der vertraglich gebundenen Vermittler. Ins Feld „Vertr. geb. Vermittler:” kommt der Name des Vermittlers, ins Feld „Haftendes Unternehmen:” alternativ die genannte Bank. Der Button heißt „Suche Vermittler”.
Eine Warnung zur Bedienung: Die Statusauswahl über der Suche („nur aktive”, „nur abgemeldete”, „Gesamtanzeige”) verändert das Ergebnis der Namenssuche nicht. Alle drei Einstellungen liefern dieselbe Liste. Verlassen Sie sich also nicht darauf, dass Sie damit abgemeldete Vermittler ausgefiltert hätten.
Auf der Seite „Auswahl Vermittler” klicken Sie den Treffer an. Es öffnet sich die Seite „Vertraglich gebundener Vermittler” mit Anschrift, den Zeilen „Vertreter 1/2/3” und einer Tabelle mit den Spalten „Nr. | zum Haftungsinstitut | Sitz | Tätig ab | Tätig bis | Meldedatum | hist. Meldungen”. Steht in „Tätig bis” ein Datum, ist die Anbindung beendet.
Ältere Meldungen sehen Sie erst nach einem zweiten Klick auf „Anz.” in der Spalte „hist. Meldungen”. Dort erscheinen die Blöcke „Haftendes Unternehmen”, „Aktuelle Meldung” und „Historische Meldungen”. Bei manchen Vermittlern fehlt dieser Link, dann bleibt die Historie verborgen.
Der Kern bleibt derselbe: Ein Eintrag hier ist keine Erlaubnis. Der Vermittler darf keine Kundengelder halten und keine Konten führen. Er handelt ausschließlich auf Rechnung und Verantwortung des genannten haftenden Unternehmens — und genau mit diesem Institut haben Sie es im Streitfall zu tun.
Krypto-Dienstleister nach MiCA
Wer in Deutschland Tausch oder Verwahrung von Kryptowerten anbietet, muss in einer der einschlägigen Kategorien auftauchen: „Kryptowerte-Dienstleister”, „Kryptoverwahrer (BA)”, „MiCAR Emittenten” oder „Kryptowertpapierregisterführer (BA)”. Taucht die Firma in keiner davon auf, arbeitet sie ohne Erlaubnis.
In der Erlaubnistabelle stehen dann Zeilen mit MiCA-Bezug, etwa „Verwahrung und Verwaltung von Kryptowerten für Kunden” oder „Ausführung von Aufträgen über Kryptowerte für Kunden”, jeweils mit Verweis auf die MiCA-Verordnung. Bei Anbietern aus einem anderen EWR-Staat tragen diese Zeilen das Präfix „Incoming - ”.
Dass eine Firma irgendwo in Europa existiert, genügt nicht. Sichtbar sein muss entweder eine deutsche Erlaubnis oder eine notifizierte Zeile mit diesem Präfix.
Fallen, in die Anleger regelmäßig laufen
Geklonte Firmen. Betrüger kopieren Name, Anschrift und BaFin-ID eines echten Instituts. Der Datenbankeintrag stimmt, nur Website, E-Mail und Bankverbindung sind fremd. Den Kontakt deshalb immer von der offiziellen Website der gefundenen Gesellschaft aus aufnehmen, nie aus einer Mail oder Anzeige heraus.
Angebliche US-Aufsicht. Die BaFin warnte am 30. Mai 2025 vor einer Serie nahezu identischer Websites, die sich „als amerikanische Unternehmen aus[geben], welche vorgeblich unter Aufsicht von amerikanischen Finanzaufsichtsbehörden stehen”. Aufsicht aus den USA, den Seychellen, Mauritius oder St. Vincent berechtigt nicht dazu, Kunden in Deutschland zu bedienen.
Erloschene Erlaubnis als gültige verkauft. Die Spalten „Ende am” und „Endegrund” sind leicht zu überlesen. Eine Firma kann in der Datenbank stehen und bei der Tätigkeit, um die es geht, trotzdem den Vermerk „Erlöschen der Erlaubnis” tragen.
Verwechselte Gesellschaften. Zu einer Marke liefert die Suche oft zwei oder mehr Rechtsträger, etwa eine ausländische Gesellschaft und eine deutsche Zweigniederlassung. Geprüft wird die Firma, die im Vertrag und auf der Abrechnung steht.
Falsche BaFin-Mitarbeiter. Betrüger geben sich als Beschäftigte der Aufsicht aus und kontaktieren Geschädigte mit dem Versprechen, verlorenes Geld gegen eine Gebühr zurückzuholen. Die BaFin ruft in solchen Fällen nicht an und erhebt keine Gebühren.
Kein Eintrag, dafür eine Erklärung. „Fehler im Register” oder „die Eintragung ist noch nicht durchgelaufen” sind keine Gründe. Über der Suche steht das Datum des letzten Datenstands, aktualisiert wird täglich. Ein fehlender Eintrag ist ein Grund, die Finger davon zu lassen.
Wo die Warnungen stehen
Neben dem Register lohnt der Blick in die Warnmeldungen der BaFin. Hintergründe zum Vorgehen gegen nicht erlaubte Anbieter sammelt die Seite Bekämpfung unerlaubter Geschäfte.
Wichtig zu wissen: Das ist keine alphabetische Sperrliste zum Abhaken, sondern ein Strom datierter Meldungen nach dem Muster „BaFin warnt vor …”. Gesucht wird im Volltext, ein Feld mit Ja-oder-Nein-Antwort zu einem Firmennamen gibt es nicht. Geben Sie deshalb den Namen und zusätzlich die Domain der Website ein.
Der ganze Ablauf dauert rund zehn Minuten. Das ist unvergleichlich weniger Zeit, als der Versuch kostet, Geld von einer Firma zurückzuholen, die nie eine Erlaubnis hatte.